구글도 두 손 들었다: AI 쓰레기 보고서 폭탄에 멈춰 선 오픈소스 버그 바운티

구글도 감당 못한 생성형 AI의 역습: 오픈소스 결함 포상금 제도가 멈춘 이유

세계 최대의 기술 기업 구글이 자사 오픈소스 소프트웨어의 결함을 찾아낸 보안 연구원들에게 돈을 주던 창구를 닫아걸었다. 2026년 10월 1일, 구글은 공식 채널을 통해 자사의 ‘오픈소스 취약점 보상 프로그램(OSS VRP)’ 운영을 잠정 중단하고 2027년 1분기까지 개선책을 마련하겠다고 발표했다. 구글처럼 막대한 자본과 뛰어난 엔지니어를 가진 기업이 보안 제보를 거부하는 초유의 사태가 벌어진 것이다.

이유는 단 하나다. 생성형 AI를 이용해 대충 만들어낸 엉터리 결함 보고서, 이른바 ‘AI 슬롭(AI Slop)‘이 걷잡을 수 없이 밀려들었기 때문이다. 버튼 몇 번만 누르면 그럴듯한 보안 보고서를 1초 만에 뽑아내는 거대언어모델(LLM)이 대중화되자, 일부 이용자들이 포상금을 타내기 위해 하루에도 수백 수천 건의 거짓 보고서를 시스템에 쏟아부었다.

이 상황은 동네 맛집에 가짜 장난 전화가 1초에 수백 통씩 걸려와 진짜 손님의 전화를 아예 받지 못하고 장사를 접은 꼴과 같다. 보고서 내용은 언뜻 보면 전문적인 보안 용어로 도배되어 있지만, 실제 코드를 뜯어보면 소프트웨어에 존재하지도 않는 허깨비를 지적하거나 기초적인 동작 원리조차 무시한 환각(Hallucination) 덩어리였다. 구글 엔지니어들과 오픈소스 관리자들은 진짜 위험한 보안 구멍을 메우는 대신, AI가 지어낸 거짓말을 검증하느라 모든 업무 시간을 허비해야 했다.

결국 구글의 항복 선언은 단순히 한 기업의 포상금 중단 사건에 그치지 않는다. 전 세계 전산망의 뼈대를 이루는 오픈소스 생태계 전체가 자동화된 기술의 부작용에 휘청이고 있음을 보여주는 가장 생생한 경고다.

진짜 결함 1건을 찾으려고 버린 시간: AI 보고서 급증 전후의 실제 수치 비교

생성형 AI가 보급되기 전과 지금의 결함 제보 생태계는 완전히 다른 세상이 되었다. 과거에는 숙련된 화이트해커가 몇 날 며칠 동안 프로그램을 직접 실행하고 코드를 분석해 결함을 입증하는 실행 코드(PoC)를 함께 제출했다. 제출되는 건수는 적었지만 실제 위험을 막는 알짜배기 정보의 비율이 높았다.

반면 AI 도구가 확산된 이후에는 기술 지식이 없는 일반인까지 가세해 검증되지 않은 문장을 대량 발송하고 있다. 다음은 구글을 비롯한 글로벌 주요 테크 기업들이 체감하고 있는 버그 바운티 접수 현황의 실제 변화 추정치다.

실제 숫자가 보여주는 현실은 냉혹하다. 엉터리 보고서의 비율이 98%에 육박하면서, 기업은 진짜 결함 1건을 건져내기 위해 과거보다 4배가 넘는 인건비를 허공에 날리고 있다.

개발팀을 덮친 3대 위협: 비용 폭증, 대응 지연, 유지관리자 이탈

구글의 오픈소스 포상금 중단은 기업의 실무 운영진과 보안 책임자들에게 결코 남의 일이 아니다. 전 세계 기업들이 사용하는 서버, 데이터베이스, 웹 프레임워크의 80% 이상이 오픈소스를 기반으로 돌아가기 때문이다. 이번 사태는 기업 현장에 세 가지 치명적인 타격을 입히고 있다.

1. 불필요한 운영 비용(OPEX)의 폭증: 고급 인력의 스팸 분류원 전락

소프트웨어 보안 취약점 보고서는 일반 고객센터 문의처럼 아르바이트 인력이 쉽게 처리할 수 없다. 코드가 실제로 돌아가는지, 메모리 누수가 일어나는지, 공격자가 시스템 권한을 탈취할 수 있는지 판단하려면 연봉 수억 원을 받는 고급 보안 엔지니어가 직접 코드를 들여다봐야 한다.

AI가 만들어낸 보고서는 문법이 완벽하고 전문 용어가 빽빽하게 적혀 있어, 얼핏 보면 진짜 심각한 결함처럼 보인다. 결국 엔지니어가 직접 가상 환경을 띄우고 재현 실험을 해봐야만 거짓말임을 밝혀낼 수 있다. 결과적으로 한 달에 수천만 원의 가치를 지닌 엔지니어들이 온종일 AI가 싼 배설물을 치우는 데 시간을 빼앗기며 막대한 운영비 손실을 낳고 있다.

2. 치명적 결함 조치 시간(Lead Time)의 지연: 진짜 공격에 노출되는 전산망

보안에서 가장 중요한 것은 시간이다. 해커가 취약점을 알아채고 공격 프로그램을 만들기 전에 먼저 결함을 찾아내 패치해야 한다. 하지만 접수 창구가 수천 건의 쓰레기 데이터로 가득 차면 정작 긴급하게 처리해야 할 핵심 보고서가 대기열 밑바닥에 파묻히게 된다.

실제로 유효한 제보가 접수되어도 담당자가 읽어보기까지 수주일이 걸리는 병목 현상이 발생한다. 그사이 악의적인 공격자가 해당 구멍을 먼저 찾아내 랜섬웨어를 심거나 고객 개인정보를 빼돌릴 위험이 기하하급수적으로 커진다.

3. 오픈소스 공급망의 붕괴: 무료로 헌신하던 개발자들의 피로 누적

오픈소스 프로젝트는 구글 같은 대기업 혼자 만드는 것이 아니다. 전 세계 수많은 자원봉사 개발자와 유지관리자(Maintainer)들이 개인 시간을 쪼개어 코드를 관리한다.

이들은 아무런 대가 없이 소프트웨어를 유지보수해 왔는데, 매일 아침 메일함에 수백 건의 AI 엉터리 버그 제보가 쏟아지자 번아웃을 호소하며 프로젝트를 떠나고 있다. 소프트웨어를 지탱하던 핵심 인물들이 사라지면, 그 소프트웨어를 가져다 쓰는 전 세계 수많은 기업의 제품 전체가 통째로 보안 위협에 노출된다.

공격적인 필터링과 재현 자동화: 글로벌 기업들이 세우는 3가지 완충벽

구글이 프로그램을 일시 중단하며 숨고르기에 들어간 사이, 글로벌 소프트웨어 업계는 쏟아지는 AI 스팸을 차단하기 위한 새로운 기술 방어벽을 세우고 있다. 엉터리 텍스트를 읽느라 시간을 낭비하는 대신, ‘검증 과정을 기계로 자동화’하는 방식이다.

첫째, 텍스트 형태의 제보를 아예 거부하는 규칙의 도입이다. 깃허브(GitHub)와 주요 보안 플랫폼들은 단순히 “여기에 문제가 있을 수 있다”는 식의 줄글 제보를 차단하고, 실제로 취약점이 작동함을 증명하는 코드(Proof of Concept) 제출을 필수화하고 있다. AI는 그럴듯한 거짓말 문장은 잘 쓰지만, 실제로 작동하는 정교한 해킹 공격 코드를 끝까지 완성해 내는 데는 취약하다는 점을 노린 전략이다.

둘째, 클라우드 샌드박스를 통한 실행 검증의 자동화다. 제보자가 코드를 올리면 엔지니어가 직접 확인하는 대신, 격리된 가상 서버에서 해당 코드를 즉시 돌려보고 에러가 발생하지 않거나 시스템에 영향을 주지 못하면 보고서를 즉시 자동 반려한다.

예컨대 고성능 연산이 필요한 취약점 분석 모델을 자체 구동하기 위해 전용 인프라를 마련할 때는 RunPod 같은 객관적인 인프라 벤치마크를 대조하여, 검증 시스템을 24시간 띄워두지 않고 결함 코드가 들어올 때만 초 단위로 서버를 켜서 비용을 아끼는 방식을 채택하고 있다.

셋째, 명판(Reputation) 기반의 제보 등급제 운영이다. 과거에 단 한 번도 검증된 결함을 보고한 적이 없는 신규 계정의 경우, 제출할 수 있는 보고서의 숫자를 일주일에 1건으로 엄격히 제한한다. 반대로 실제 유효한 결함을 찾아낸 실적이 쌓인 공인 화이트해커의 보고서는 검토 순위를 최우선으로 올려주는 평판 시스템을 구축하여 악의적인 스팸 업자들의 진입 장벽을 높이고 있다.

AI 자동화 시대의 오픈소스 보안: 향후 2년 시장 재편 시나리오와 승자의 조건

소프트웨어를 개발하고 유지하는 방식은 이제 완전히 달라졌다. AI를 이용한 자동화 공격과 쓰레기 데이터 생성은 앞으로 더욱 교묘해질 것이며, 기존처럼 사람이 메일을 열어보듯 일일이 보고서를 확인하던 옛날 방식은 완전히 종말을 고했다. 향후 1–2년 동안 기업들이 마주할 생태계 변화와 살아남기 위한 조건을 정리한다.

기존 레거시 기업이 직면할 마진 압박 시나리오

옛날 방식의 보안 검토 체계를 고집하는 기업들은 감당할 수 없는 마진 압박을 받게 된다.

• 인건비 누수로 인한 개발 역량 저하: 가짜 제보를 거르는 데 매달 수천만 원의 엔지니어 인건비가 낭비되면서, 정작 신제품 기능 개발이나 인프라 현대화에 쓸 예산이 깎여 나간다.
• 보안 사고로 인한 천문학적 배상금: 스팸 메일함 속에 파묻혀 방치되었던 진짜 제로데이(Zero-Day) 결함이 뒤늦게 터져 고객 데이터가 유출되고, 각국 규제 기관으로부터 막대한 과징금을 부과받는 사태가 현실화된다.
• 오픈소스 생태계로부터의 고립: 오픈소스 프로젝트에 인력을 지원하던 기업들이 비용을 견디지 못하고 손을 떼면서, 사내 소프트웨어 시스템 전체의 신뢰도가 흔들리게 된다.

변화하는 생태계에서 주도권을 쥘 승자의 핵심 조건 3가지

AI 쓰레기 보고서의 홍수 속에서 살아남아 소프트웨어 안정성을 확보할 승자는 다음 3가지 체계를 갖춘 기업이다.

1. ‘텍스트 신뢰 제로’ 원칙의 확립: 사람이 쓴 글이든 AI가 쓴 글이든, 텍스트 형태의 주장은 일체 신뢰하지 않는 시스템을 갖추어야 한다. 반드시 실제로 돌아가는 재현 스크립트와 실행 로그가 함께 들어와야만 접수가 시작되는 엄격한 입력 검증 파이프라인을 구축해야 한다.
2. 검증 인프라의 서버리스 자동화: 제보가 들어왔을 때 사람을 먼저 거치지 않고, 가상화 환경에서 해당 결함이 진짜 유효한지 기계가 1차로 판별하도록 만들어야 한다. 이를 통해 전체 접수 건수의 95% 이상을 차지하는 허위 보고서를 1원 미만의 비용으로 걸러내는 기술력을 확보해야 한다.
3. 신뢰 기반의 폐쇄형 화이트해커 네트워크 확보: 불특정 다수에게 문을 열어두는 무차별적인 공개 포상금 제도에서 벗어나야 한다. 신원이 확인되고 실력이 검증된 전문 보안 연구원 풀을 따로 조직하여, 고품질의 제보에 집중적으로 높은 보상금을 지급하는 선별적 보상 정책으로 시스템 뼈대를 전환해야 한다.

AI가 만들어낸 혼란은 결국 더 높은 수준의 자동화와 엄격한 검증 시스템을 통해서만 해결할 수 있다. 구글이 문을 닫아건 지금 이 순간은, 모든 기업이 자사의 결함 검증 체계를 근본부터 다시 설계해야 하는 결정적인 시점이다.